Azure Policy存储blob服务诊断日志策略修改后补救模板问题咨询

问题根因 #

Microsoft.Storage/StorageAccounts/blobServices类型的资源默认名称固定为default，策略评估时直接取该子资源的name字段只会返回default，需要从子资源的全量ID中提取父层存储账户名称。

解决方案步骤 #

1. 调整策略字段提取逻辑 #

在策略规则中使用split()函数从子资源ID中提取存储账户名，资源ID的固定格式为/subscriptions/<订阅ID>/resourceGroups/<资源组名>/providers/Microsoft.Storage/storageAccounts/<存储账户名>/blobServices/default，按/分割后索引第8位即为存储账户名，提取语法为：
[split(field('id'), '/')[8]]

2. 配置DeployIfNotExists参数映射 #

在策略的details.deployment.properties.parameters部分，将部署模板的存储账户参数绑定到上述提取的值，示例配置：

"parameters": {
  "storageAccountName": {
    "value": "[split(field('id'), '/')[8]]"
  },
  "blobServiceName": {
    "value": "[field('name')]"
  }
}

需确保映射的参数名和后续补救模板的入参名完全一致。

3. 验证策略基础配置 #

• 保持mode为All不变，确保子资源可以被正常扫描
• 确认type字段明确指定为Microsoft.Storage/storageAccounts/blobServices，避免匹配到存储账户的其他子资源

4. 调整补救模板逻辑 #

在ARM/Bicep补救模板中显式接收传入的storageAccountName参数，部署诊断配置时作用域绑定到对应存储账户的Blob服务下，Bicep示例参考：

param storageAccountName string
param blobServiceName string = 'default'

// 引用已存在的存储账户
resource storageAccount 'Microsoft.Storage/storageAccounts@2023-01-01' existing = {
  name: storageAccountName
}

// 引用已存在的Blob服务
resource blobService 'Microsoft.Storage/storageAccounts/blobServices@2023-01-01' existing = {
  parent: storageAccount
  name: blobServiceName
}

// 部署诊断配置
resource diagnosticSetting 'Microsoft.Insights/diagnosticSettings@2021-05-01-preview' = {
  name: 'blobServiceDiagnosticSettings'
  scope: blobService
  properties: {
    // 自定义日志、指标采集规则
  }
}

配置修改完成后需要重新分配策略，等待新一轮合规评估完成后再触发补救任务，即可正常获取存储账户名称执行部署。

内容的提问来源于stack exchange，提问作者sharma_the_karma